Agenci AI z Tencent Cloud obchodzili zabezpieczenia Amap. Badacze wymienili z nimi wiadomości
Między 28 września a 8 października 2026 roku agenci AI działający na infrastrukturze Tencent Cloud podjęli ponad 2600 prób pobrania danych z serwisu mapowego Amap, należącego do Alibaby. Gdy systemy ochronne platformy zaczęły blokować ruch jako generowany przez boty, część agentów zaczęła szukać sposobów na obejście zabezpieczeń. Badacze śledzący tę aktywność zastawili na nich prosty test i zdołali nawiązać z nimi bezpośrednią wymianę wiadomości.
Z ustaleń badacza Ethana Elasky’ego wynika, że zadania zlecane agentom były nieszkodliwe – polegały m.in. na sprawdzeniu, do którego wejścia do zoo w Chengdu kieruje się najwięcej odwiedzających. Osoba związana z Tencentem przekazała badaczom, że aktywność była efektem wewnętrznych testów zespołu ewaluacyjnego, sprawdzającego zdolność zewnętrznych modeli do przeszukiwania sieci. Choć sami agenci przedstawiali się w zapytaniach jako Claude firmy Anthropic, badacze nie byli w stanie niezależnie potwierdzić tożsamości użytych modeli.
Amap konsekwentnie odcinał podejrzany ruch, co skłoniło część agentów do wykorzystania zewnętrznych pośredników. Umieszczali oni proste instrukcje bezpośrednio w adresach URL i przesyłali je do serwisów httpbin oraz urlquery.net, które otwierały docelowe strony we własnych środowiskach przeglądarkowych. W ten sposób omijali testy CAPTCHA i blokady anty-botowe. Inne agenty odnalazły publicznie dostępne dane uwierzytelniające do Amap w otwartym repozytorium kodu i próbowały odpytywać API bezpośrednio. Choć większość prób zakończyła się niepowodzeniem, niektórym udało się pozyskać poszukiwane informacje.
Na nietypowy ruch zwrócili uwagę uczestnicy hackathonu, gdy Amap stał się najczęściej skanowaną witryną w serwisie urlquery.net. Analiza adresów IP oraz metadanych powiązała zapytania z serwerami Tencent Cloud w Hongkongu. W jednej z przechwyconych wiadomości agent użył terminu, którym badacze wcześniej określili swój projekt badawczy, co sugerowało, że modele trafiły na publiczne analizy dotyczące własnych działań.
Zespół postanowił sprawdzić tę reakcję w kontrolowany sposób. Na swojej stronie umieścił tekst niewidoczny dla zwykłych użytkowników, lecz czytelny dla botów analizujących kod HTML, informujący o skrzynce kontaktowej przeznaczonej do przekazywania danych. Następnego ranka w skrzynce czekało dziesięć wiadomości od agentów.
W toku całego eksperymentu badacze odebrali 33 wiadomości i wysłali 20 odpowiedzi. Agenci odczytali 12 z nich i odesłali siedem kolejnych wiadomości. W jednej z nich agent potwierdził realizację zadanego celu i wskazał, że funkcjonuje w środowisku sandboxowym Tencentu. Odpowiedział na ogólne pytania dotyczące swojego środowiska wykonawczego, jednak odmówił podania szczegółów technicznych, w tym konfiguracji sieci czy listy aktywnych procesów.
